Auftragsverarbeitung nach Art. 28 DSGVO

Wer bei der Betreuung Ihrer Website welche Daten verarbeitet, in wessen Auftrag, mit welchen Schutzmaßnahmen – und was nach Vertragsende damit geschieht.

Diese Vereinbarung konkretisiert die Pflichten aus Art. 28 DSGVO für alle Leistungen, bei denen der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet. Sie ist Bestandteil des Hauptvertrags und gilt für dessen Laufzeit. Auf Wunsch wird sie zusätzlich als unterzeichnetes Dokument zur Verfügung gestellt – eine formlose Anfrage an anfrage@sitekeep.de genügt.

Verantwortlicher im Sinne der DSGVO ist der Kunde. Auftragsverarbeiter ist Tim Philip Katzer, Via Generale Diaz 55, 97019 Vittoria (RG), Italien.

(1) Gegenstand ist die technische Betreuung der Website des Kunden: Aktualisierung, Absicherung, Überwachung, Sicherung und Wiederherstellung sowie – soweit gebucht – Hosting und das KI-Interface.

(2) Der Anbieter verarbeitet personenbezogene Daten dabei ausschließlich, soweit dies für diese Tätigkeiten erforderlich ist. Ein eigener Zweck wird nicht verfolgt. Die Verarbeitung findet in der Europäischen Union statt, soweit in Ziffer 6 nichts anderes ausgewiesen ist.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

(1) Betroffene Personengruppen sind typischerweise: Besucher der Website des Kunden, Personen, die über Formulare Kontakt aufnehmen, Kunden und Interessenten des Kunden, Beschäftigte des Kunden mit einem Zugang zur Website sowie – bei Shops und Buchungssystemen – Besteller und Gäste.

(2) Datenkategorien sind typischerweise: Bestands- und Kontaktdaten, Inhalte von Formularnachrichten, Nutzungs- und Verbindungsdaten einschließlich IP-Adressen und Zeitstempel, Benutzerkonten und Zugangsdaten in gehashter Form sowie – je nach Website – Vertrags-, Bestell-, Buchungs- und Zahlungsdaten.

(3) Welche Daten tatsächlich anfallen, bestimmt allein der Kunde durch die Gestaltung seiner Website. Der Anbieter wertet diese Daten nicht aus und verschafft sich keine Kenntnis über das zur Leistungserbringung erforderliche Maß hinaus. Soweit auf der Website besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden, teilt der Kunde dies vor Vertragsbeginn mit.

(1) Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag und der Hauptvertrag; Einzelweisungen erfolgen in Textform.

(2) Ist der Anbieter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Kunden unverzüglich. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(3) Ist der Anbieter aufgrund des Unionsrechts oder des Rechts eines Mitgliedstaats zur Verarbeitung verpflichtet, unterrichtet er den Kunden vorab, sofern das Recht dies nicht verbietet.

Der Anbieter

• verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit und stellt sicher, dass sie in den Datenschutz eingewiesen sind;
• trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und überprüft sie regelmäßig;
• unterstützt den Kunden mit angemessenen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO sowie bei den Pflichten nach Art. 32 bis 36 DSGVO;
• meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, mit den ihm vorliegenden Angaben nach Art. 33 Abs. 3 DSGVO;
• führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO;
• benennt dem Kunden eine Kontaktstelle für den Datenschutz. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO nicht zu benennen; Kontakt ist anfrage@sitekeep.de.

Richtet sich eine betroffene Person unmittelbar an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, für die Information der betroffenen Personen, für erforderliche Einwilligungen und für die Wahrung der Betroffenenrechte.

(2) Der Kunde beurteilt, ob die Maßnahmen nach Anlage 1 für seine Verarbeitung ein angemessenes Schutzniveau bieten, und teilt einen darüber hinausgehenden Bedarf vor Vertragsbeginn mit. Zusätzliche Maßnahmen werden gesondert vereinbart und vergütet.

(3) Der Kunde meldet dem Anbieter unverzüglich Fehler oder Unregelmäßigkeiten, die er bei der Prüfung der Auftragsergebnisse feststellt.

(1) Der Kunde erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 Satz 2 DSGVO. Genehmigt sind bei Vertragsschluss:

• ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, Deutschland
  Hosting, Speicherung der Website und der Datenbank, Server-Logfiles, E-Mail-Versand
  Ort der Verarbeitung: Deutschland
• WP Umbrella SAS, Frankreich
  Überwachung der Verfügbarkeit, Update- und Fehlerprotokolle, Erstellung und Speicherung der Sicherungen
  Ort der Verarbeitung: Europäische Union
• Anthropic PBC, San Francisco, Vereinigte Staaten
  Ausführung von Textanweisungen im KI-Interface; betrifft ausschließlich Kunden, die diese Erweiterung gebucht haben. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.
  Ort der Verarbeitung: Vereinigte Staaten

(2) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den hier vereinbarten entsprechen.

(3) Beabsichtigt der Anbieter, einen Unterauftragsverarbeiter hinzuzuziehen oder auszutauschen, informiert er den Kunden mindestens vier Wochen vorher in Textform. Der Kunde kann innerhalb von zwei Wochen aus einem wichtigen, datenschutzbezogenen Grund widersprechen. Lässt sich der Widerspruch nicht mit vertretbarem Aufwand ausräumen, darf jede Partei den betroffenen Leistungsteil zum geplanten Wirksamwerden der Änderung kündigen.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Anbieter bei Dritten in Anspruch nimmt, ohne ihnen Zugriff auf Daten des Kunden zu verschaffen – etwa Telekommunikation, Postdienste oder Wartung an eigener Hardware.

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, soweit sie in Ziffer 6 ausgewiesen ist, und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind – also auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission nebst ergänzenden Maßnahmen.

(1) Der Anbieter weist die Einhaltung seiner Pflichten auf Anforderung durch Auskünfte, durch die Vorlage der Maßnahmen nach Anlage 1 sowie durch vorhandene Prüfberichte oder Zertifikate nach.

(2) Reicht das im Einzelfall nicht aus, darf der Kunde eine Überprüfung vor Ort durchführen oder durchführen lassen. Sie ist mindestens 30 Tage vorher in Textform anzukündigen, auf die Geschäftszeiten beschränkt, auf einmal je Kalenderjahr begrenzt – zusätzliche Prüfungen nur bei konkretem Anlass – und darf den Betrieb nicht unangemessen beeinträchtigen.

(3) Prüfer sind zur Verschwiegenheit zu verpflichten. Der Anbieter darf Prüfer ablehnen, die zu ihm in Wettbewerb stehen. Den Aufwand einer Prüfung nach Absatz 2 vergütet der Kunde nach dem vereinbarten Stundensatz, es sei denn, die Prüfung deckt einen erheblichen Verstoß des Anbieters auf.

(1) Nach Beendigung des Hauptvertrags gibt der Anbieter alle in seinem Besitz befindlichen personenbezogenen Daten nach Wahl des Kunden zurück oder löscht sie. Der Kunde teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit; danach werden die Daten gelöscht.

(2) Sicherungen werden spätestens mit Ablauf der für das jeweilige Paket vereinbarten Aufbewahrungsdauer gelöscht, längstens 90 Tage nach Vertragsende.

(3) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, sowie Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, darf der Anbieter über das Vertragsende hinaus aufbewahren. Eine weitergehende Verarbeitung findet nicht statt.

(1) Art. 82 DSGVO bleibt unberührt.

(2) Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags.

(3) Soweit der Anbieter wegen einer Verarbeitung in Anspruch genommen wird, die er auf Weisung des Kunden oder aufgrund von dessen Gestaltung der Website vorgenommen hat, stellt der Kunde ihn nach Maßgabe des Hauptvertrags frei.

Maßnahmen nach Art. 32 DSGVO, bezogen auf die Tätigkeit des Anbieters. Für die Infrastruktur gelten ergänzend die Maßnahmen der in Ziffer 6 genannten Unterauftragsverarbeiter.

Vertraulichkeit

• Zugriff auf Kundensysteme ausschließlich über persönliche, namentlich zugeordnete Konten mit Zwei-Faktor-Authentifizierung.
• Zugangsdaten werden in einem Passwort-Manager verschlüsselt verwahrt, nicht in Dateien, E-Mails oder Projektordnern.
• Übertragung ausschließlich verschlüsselt (TLS, SSH, SFTP).
• Verschlüsselte Datenträger auf allen eingesetzten Geräten, Bildschirmsperre, aktuelle Betriebssysteme.
• Trennung nach Kunden: getrennte Zugänge, getrennte Sicherungen, keine gemeinsame Ablage.
• Zugriff nur im zur Aufgabe erforderlichen Umfang; Entfernung der Zugänge nach Vertragsende.

Integrität

• Änderungen an Produktivsystemen werden protokolliert und sind nachvollziehbar einer Person zugeordnet.
• Größere Änderungen werden zunächst auf einer Kopie (Staging) ausgeführt.
• Vor Eingriffen wird eine Sicherung erstellt; Änderungen lassen sich zurücknehmen.
• Keine Übertragung personenbezogener Daten auf Systeme, die nicht in diesem Vertrag vorgesehen sind.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherungen außerhalb des Produktivservers, verschlüsselt gespeichert, mit der im Paket vereinbarten Aufbewahrungsdauer.
• Stichprobenhafte Prüfung der Wiederherstellbarkeit.
• Überwachung der Erreichbarkeit und Benachrichtigung bei Störungen.
• Zeitnahe Einspielung sicherheitsrelevanter Aktualisierungen.

Verfahren zur Überprüfung

• Überprüfung dieser Maßnahmen mindestens einmal jährlich und anlassbezogen.
• Verarbeitung ausschließlich auf Weisung; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Festgelegter Ablauf für Datenschutzvorfälle einschließlich Meldung an den Kunden.
• Datenminimierung: keine Ausleitung von Produktivdaten in Testumgebungen ohne Erforderlichkeit.

Fassung 1.0, Stand 28. Oktober 2026. Änderungen bleiben vorbehalten, soweit das Schutzniveau dadurch nicht sinkt.